Prasības: Vietne iespējo OCSP funkciju, OCSP skavošana ir viens no HTTPS optimizācijas risinājumiem, kas pārsūta OCSP pieprasījumu, kas sākotnēji klientam bija jāuzsāk reāllaikā, uz serveri, un Nginx apkalpošanas zona iegūst OCSP vaicājuma rezultātus un nosūta tos klientam kopā ar sertifikātu, lai klients varētu izlaist autentifikācijas meklēšanas procesu un uzlabot TLS rokasspiediena efektivitāti. HTTPS veiktspēju var uzlabot.
OCSP
OCSP (tiešsaistes sertifikāta statusa protokols) ir tiešsaistes vaicājumu protokols, ko izmanto, lai pārbaudītu sertifikātu likumību un derīgumu, ko nodrošina digitālās sertifikācijas iestāde (CA). Katru reizi, kad lietotājs piekļūst vietnei, izmantojot HTTPS, pārlūkprogramma izmanto OCSP vaicājumu, lai pārbaudītu, vai vietnes sertifikāts ir derīgs.
Ja OCSP skavošana ir iespējota, OCSP vaicājumus veic tīmekļa serveris, un tīmeklis kešatmiņā saglabā vaicājuma rezultātus serverī. Kad klients paspiež roku tīmekļa servera TLS, tīmeklis tieši reaģē uz klienta OCSP informāciju un sertifikātu klienta verifikācijai, novēršot nepieciešamību klientam nosūtīt vaicājumu pieprasījumus CA, kas ievērojami uzlabo TLS rokasspiediena efektivitāti, ietaupa lietotāja autentifikācijas laiku un optimizē HTTPS ātrumu. Ja vēlaties uzlabot sertifikāta statusa pārbaudes efektivitāti HTTPS rokasspiedienos un uzlabot tīmekļa vietnes piekļuves veiktspēju, varat iespējot OCSP saistīšanu.
Kā parādīts nākamajā attēlā:
Tiešsaistes sertifikāta statusa protokols (OCSP)
Tiešsaistes sertifikāta statusa protokols (OCSP) tika izveidots kā alternatīva sertifikātu atsaukšanas saraksta (CRL) protokolam. Abi protokoli tiek izmantoti, lai pārbaudītu, vai SSL sertifikāts ir atsaukts.
CRL protokols pieprasa, lai pārlūkprogrammas lejupielādētu lielu skaitu SSL sertifikātu atsaukšanas informācijas: sertifikāta sērijas numuru un katra sertifikāta pēdējo izlaišanas datumu. CRL protokola problēma ir tā, ka tas var pagarināt laiku, kas nepieciešams SSL sarunām.
OCSP protokols novērš nepieciešamību pārlūkprogrammām tērēt laiku, lejupielādējot un meklējot sertifikāta informācijas sarakstu. Izmantojot OCSP, pārlūkprogramma vienkārši izdod vaicājumu, lai saņemtu atbildi no OCSP atbildētāja (CA serveris, kas īpaši uzklausa un atbild uz OCSP pieprasījumiem) par sertifikāta atsaukšanas statusu.
OCSP iesiešana
OCSP skavošana var uzlabot OCSP protokolu, ļaujot vietņu saimniekiem aktīvāk uzlabot klienta (pārlūkošanas) pieredzi. OCSP skavošana ļauj sertifikāta izdevējam (t.i., tīmekļa serverim) tieši vaicāt OCSP atbildētājam un pēc tam kešatmiņā saglabāt atbildi. Pēc tam atbilde no šīs drošās kešatmiņas tiek nodota kopā ar TLS/SSL rokasspiedienu, izmantojot sertifikāta statusa pieprasījuma paplašinājumu, nodrošinot, ka pārlūkprogramma saņem tādu pašu atsaucīgu veiktspēju, iegūstot sertifikāta stāvokli un vietnes saturu.
OCSP skavošana atrisina OCSP problēmasKonfidencialitātes problēmajo CA vairs nesaņem atsaukšanas pieprasījumus tieši no klienta (pārlūkprogrammas). Pārlūkprogramma tieši pieprasa trešās puses CA (sertificēšanas iestādi),Tīmekļa vietnes apmeklētāji, kas tiks pakļauti (CA zinās, kuri lietotāji apmeklē mūsu tīmekļa vietni)。 OCSP Stapling risina arī OCSP SSL sarunu latentumu, novēršot nepieciešamību pēc atsevišķa tīkla savienojuma ar CA atbildes serveri.
Pārbaudiet OCSP saistījumu
Tiek sniegti divi scenāriji, lai pārbaudītu, vai OCSP saistīšana ir iespējota.
Tiešsaistes tīmekļa vietnes pieprasījums:Hipersaites pieteikšanās ir redzama., ievadiet domēna nosaukumu. Kā parādīts zemāk:
OCSP Staple: Labs nozīmē iespējots, Nav iespējots nozīmē, ka nav iespējots.
Varat arī vaicāt, izmantojot komandrindu, izmantojot openssl rīku, kas ir šāds:
OCSP atbilde:Atbilde nav nosūtītaPārstāvji nav iespējoti
OCSP atbildes statuss:veiksmīgs (0x0)Pārstāvis iespējots
Kā parādīts zemāk:
Konfigurējiet OCSP skavošanu Nginx serverī
Modificējiet nginx domēna nosaukuma konfigurācijas failu, lai servera mezglam pievienotu:
Atcerieties restartēt nginx pakalpojumu pēc konfigurācijas pabeigšanas.
Atsauce:
Hipersaites pieteikšanās ir redzama.
Hipersaites pieteikšanās ir redzama.
Hipersaites pieteikšanās ir redzama.
Hipersaites pieteikšanās ir redzama. |
Publicēts 2025-11-4 20:22:40
|
|
|
|
